Produktdokumentation
Citrix DaaS
PDF anzeigen

HDX Direct (Preview)

August 9, 2024
Beitrag von: 
C

Beim Zugriff auf von Citrix bereitgestellte Ressourcen ermöglicht HDX Direct sowohl internen als auch externen Clientgeräten, eine sichere direkte Verbindung mit dem Sitzungshost herzustellen, sofern eine direkte Kommunikation möglich ist.

Wichtig:

HDX Direct ist derzeit in der Technical Preview. Dieses Feature wird ohne Unterstützung bereitgestellt und noch nicht für den Einsatz in Produktionsumgebungen empfohlen. Verwenden Sie dieses Formular, um Feedback einzureichen oder Probleme zu melden.

Systemanforderungen

Für die Verwendung von HDX Direct gelten die folgenden Systemvoraussetzungen:

  • Steuerungsebene

    • Citrix DaaS
    • Citrix Virtual Apps and Desktops 2402 oder höher

  • Virtual Delivery Agent (VDA)

    • Windows: Version 2402 oder höher

  • Workspace-App

    • Windows: Version 2402 oder höher

  • Zugriffsebene

    • Citrix Workspace mit Citrix Gateway Service
    • Citrix Workspace mit NetScaler Gateway

  • Sonstiges

    • Adaptive Transport muss für externe Direktverbindungen aktiviert sein

Netzwerkanforderungen

Für die Verwendung von HDX Direct gelten die folgenden Netzwerkvoraussetzungen.

Sitzungshosts

Wenn Ihre Sitzungshosts über eine Firewall wie die Windows Defender-Firewall verfügen, müssen Sie den folgenden eingehenden Verkehr für interne Verbindungen zulassen.

Beschreibung Quelle Protokoll Port
Direkte interne Verbindung Client TCP 443
Direkte interne Verbindung Client UDP 443

Hinweis:

Das VDA-Installationsprogramm fügt der Windows Defender-Firewall die entsprechenden Regeln für eingehenden Datenverkehr hinzu. Wenn Sie eine andere Firewall verwenden, müssen Sie die obigen Regeln hinzufügen.

Clientnetzwerk

In der folgenden Tabelle wird das Clientnetzwerk für interne und externe Benutzer beschrieben.

Interne Benutzer

Beschreibung Protokoll Quelle Quellport Ziel Zielport
Direkte interne Verbindung TCP Clientnetzwerk 1024–65535 VDA-Netzwerk 443
Direkte interne Verbindung UDP Clientnetzwerk 1024–65535 VDA-Netzwerk 443

Externe Benutzer

Beschreibung Protokoll Quelle Quellport Ziel Zielport
STUN (nur für externe Benutzer) UDP Clientnetzwerk 1024–65535 Internet (siehe Hinweis unten) 3478, 19302
Externe Benutzerverbindung UDP Clientnetzwerk 1024–65535 Öffentliche IP-Adresse des Datencenters 1024–65535

Datencenternetzwerk

In der folgenden Tabelle wird das Datencenternetzwerk für interne und externe Benutzer beschrieben.

Interne Benutzer

Beschreibung Protokoll Quelle Quellport Ziel Zielport
Direkte interne Verbindung TCP Clientnetzwerk 1024–65535 VDA-Netzwerk 443
Direkte interne Verbindung UDP Clientnetzwerk 1024–65535 VDA-Netzwerk 443

Externe Benutzer

Beschreibung Protokoll Quelle Quellport Ziel Zielport
STUN (nur für externe Benutzer) UDP VDA-Netzwerk 1024–65535 Internet (siehe Hinweis unten) 3478, 19302
Externe Benutzerverbindung UDP DMZ / Internes Netzwerk 1024–65535 VDA-Netzwerk 55000–55250
Externe Benutzerverbindung UDP VDA-Netzwerk 55000–55250 Öffentliche IP des Clients 1024–65535

Hinweis:

Sowohl der VDA als auch die Workspace-App versuchen, STUN-Anforderungen in derselben Reihenfolge an die folgenden Server zu senden:

  • stunserver.stunprotocol.org:3478
  • employees.org:3478
  • stun.l.google.com:19302

Wenn Sie den Standardportbereich für externe Benutzerverbindungen mithilfe der Richtlinieneinstellung HDX Direct-Portbereich ändern, müssen die entsprechenden Firewallregeln Ihrem benutzerdefinierten Portbereich entsprechen.

Konfiguration

HDX Direct ist standardmäßig deaktiviert. Sie können das Feature mithilfe der HDX Direct-Einstellung der Citrix Richtlinie konfigurieren.

  • HDX Direct: Zum Aktivieren oder Deaktivieren eines Features.
  • HDX Direct-Modus: Legt fest, ob HDX Direct nur für interne Clients oder sowohl für interne als auch für externe Clients verfügbar ist.
  • HDX Direct-Portbereich: Definiert den Portbereich, den der VDA für Verbindungen von externen Clients verwendet.

Überlegungen

Bei der Verwendung von HDX Direct ist Folgendes zu berücksichtigen:

  • HDX Direct für externe Benutzer ist nur mit EDT (UDP) als Transportprotokoll verfügbar. Daher muss Adaptiver Transport aktiviert sein.
  • Wenn Sie HDX Insight verwenden, beachten Sie, dass die Verwendung von HDX Direct die HDX Insight-Datenerfassung verhindert, weil die Sitzung nicht mehr über NetScaler Gateway als Proxy geleitet würde.
  • Wenn Sie nicht persistente Maschinen für Ihre virtuellen Apps und Desktops verwenden, empfiehlt Citrix, HDX Direct auf den Sitzungshosts statt im Master-/Vorlagenimage zu aktivieren, damit jede Maschine ihre eigenen Zertifikate generiert.
  • Die Verwendung Ihrer eigenen Zertifikate mit HDX Direct wird derzeit nicht unterstützt.

Funktionsweise

HDX Direct ermöglicht es Clients, eine direkte Verbindung zum Sitzungshost herzustellen, wenn eine direkte Kommunikation verfügbar ist. Wenn direkte Verbindungen mit HDX Direct hergestellt werden, werden selbstsignierte Zertifikate verwendet, um die direkte Verbindung mit Verschlüsselung auf Netzwerkebene (TLS/DTLS) zu sichern.

Interne Benutzer

Das folgende Diagramm zeigt den Überblick über den HDX Direct-Verbindungsprozess interner Benutzer.

HDX Direct − Überblick

  1. Der Client richtet eine HDX-Sitzung über den Gateway Service ein.
  2. Nach einer erfolgreichen Verbindung sendet der VDA den FQDN der VDA-Maschine, eine Liste ihrer IP-Adressen und das Zertifikat der VDA-Maschine über die HDX-Verbindung an den Client.
  3. Der Client überprüft die IP-Adressen, um festzustellen, ob er den VDA direkt erreichen kann.
  4. Wenn der Client den VDA mit einer der gemeinsam genutzten IP-Adressen direkt erreichen kann, stellt der Client eine direkte Verbindung mit dem VDA her, die mit (D) TLS über ein Zertifikat gesichert ist, das dem in Schritt (2) ausgetauschten Zertifikat entspricht.
  5. Sobald die direkte Verbindung hergestellt ist, wird die Sitzung an sie übertragen und die Verbindung zu Gateway Service wird beendet.

Hinweis:

Nach dem Herstellen der Verbindung in Schritt 2 oben ist die Sitzung aktiv. Die nachfolgenden Schritte verzögern oder beeinträchtigen nicht die Fähigkeit des Benutzers, die virtuelle Anwendung oder den Desktop zu verwenden. Wenn einer der nachfolgenden Schritte fehlschlägt, wird die Verbindung über das Gateway aufrechterhalten, ohne die Benutzersitzung zu unterbrechen.

Externe Benutzer

Das folgende Diagramm zeigt den Überblick über den HDX Direct-Verbindungsprozess für externe Benutzer:

HDX Direct-Verbindungsprozess

  1. Der Client richtet eine HDX-Sitzung über den Gateway Service ein.
  2. Nach einer erfolgreichen Verbindung senden sowohl der Client als auch der VDA eine STUN-Anforderung, um ihre öffentlichen IP-Adressen und Ports zu ermitteln.
  3. Der STUN-Server antwortet dem Client und dem VDA mit ihren entsprechenden öffentlichen IP-Adressen und Ports.
  4. Über die HDX-Verbindung tauschen der Client und der VDA ihre öffentlichen IP-Adressen und UDP-Ports aus und der VDA sendet sein Zertifikat an den Client.
  5. Der VDA sendet UDP-Pakete an die öffentliche IP-Adresse und den UDP-Port des Clients. Der Client sendet UDP-Pakete an die öffentliche IP-Adresse und den UDP-Port des VDA.
  6. Nach Erhalt einer Nachricht vom VDA antwortet der Client mit einer sicheren Verbindungsanforderung.
  7. Während des DTLS-Handshakes überprüft der Client, ob das Zertifikat mit dem in Schritt (4) ausgetauschten Zertifikat übereinstimmt. Nach der Validierung sendet der Client sein Autorisierungstoken. Eine sichere Direktverbindung ist jetzt hergestellt.
  8. Sobald die direkte Verbindung hergestellt ist, wird die Sitzung an sie übertragen und die Verbindung zu Gateway Service wird beendet.

Hinweis:

Nach dem Herstellen der Verbindung in Schritt 2 oben ist die Sitzung aktiv. Die nachfolgenden Schritte verzögern oder beeinträchtigen nicht die Fähigkeit des Benutzers, die virtuelle Anwendung oder den Desktop zu verwenden. Wenn einer der nachfolgenden Schritte fehlschlägt, wird die Verbindung über das Gateway aufrechterhalten, ohne die Benutzersitzung zu unterbrechen.

Zertifikatverwaltung

Sitzungshost

Die folgenden beiden Dienste auf der VDA-Maschine übernehmen die Erstellung und Verwaltung von Zertifikaten. Beide sind so eingerichtet, dass sie beim Maschinenstart automatisch ausgeführt werden:

  • Citrix ClxMtp Service: verantwortlich für die Generierung und Rotation von ZS-Zertifikaten.
  • Citrix Certificate Manager Service: verantwortlich für die Generierung und Verwaltung des selbstsignierten Stamm-ZS-Zertifikats und der Maschinenzertifikate.

Die folgenden Schritte veranschaulichen den Prozess der Zertifikatsverwaltung:

  1. Die Dienste werden beim Start der Maschine gestartet.
  2. Citrix ClxMtp Service erstellt Schlüssel, falls noch keiner erstellt wurde.
  3. Citrix Certificate Manager Service überprüft, ob HDX Direct aktiviert ist. Andernfalls stoppt der Dienst selbsttätig.
  4. Wenn HDX Direct aktiviert ist, prüft Citrix Certificate Manager Service, ob ein selbstsigniertes Stamm-ZS-Zertifikat vorhanden ist. Ist dies nicht der Fall, wird ein selbstsigniertes Stammzertifikat erstellt.
  5. Sobald ein Stamm-ZS-Zertifikat verfügbar ist, prüft Citrix Certificate Manager Service, ob ein selbstsigniertes Maschinenzertifikat vorhanden ist. Ist dies nicht der Fall, generiert der Dienst Schlüssel und erstellt mithilfe des Maschinen-FQDN ein Zertifikat.
  6. Ist ein von Citrix Certificate Manager Service erstelltes Maschinenzertifikat vorhanden und der Antragstellername stimmt nicht mit dem Maschinen-FQDN überein, wird ein neues Zertifikat generiert.

Hinweis:

Citrix Certificate Manager Service generiert RSA-Zertifikate, die 2048-Bit-Schlüssel nutzen.

Clientgerät

Damit eine sichere HDX Direct-Verbindung hergestellt werden kann, muss der Client den Zertifikaten vertrauen, die zum Schutz der Sitzung verwendet wurden. Um dies zu ermöglichen, erhält der Client das ZS-Zertifikat für die Sitzung über die ICA-Datei (von Workspace bereitgestellt), sodass es nicht erforderlich ist, ZS-Zertifikate an die Zertifikatsspeicher der Clientgeräte zu verteilen.

HDX Direct (Preview)
August 9, 2024
Beitrag von: 
C
August 9, 2024
Beitrag von: 
C

In diesem Artikel

Feedback zur Site | Your privacy choices footer linkIhre Datenschutzauswahl | Datenschutz und rechtliche Bestimmungen | Cookie-Einstellungen | Einstellungen für die Zustimmung | docs.cloud.com
© 1999- Cloud Software Group, Inc. All rights reserved.